AI加快漏洞發現，CSA提出VulnOps模式改善企業漏洞管理

AI加快漏洞發現速度，但企業確認漏洞影響、測試修補程式及部署更新仍需要時間。雲端安全聯盟（Cloud Security Alliance，CSA）提出VulnOps漏洞管理模式，主張企業不應只依賴定期掃描及批次修補，而應持續追蹤並處理漏洞，避免新發現的安全問題不斷累積。

VulnOps將三種來源的漏洞資訊納入同一套管理流程，包括軟體開發階段發現的安全問題、已部署系統中的漏洞，以及外部揭露的漏洞與供應商修補資訊。企業蒐集這些資訊後，需先排除重複項目，確認漏洞是否影響自身系統，再依據風險安排處理順序。CSA強調，企業不能只依通用漏洞評分系統（CVSS）分數決定修補優先順序，還須考量系統是否暴露於公開網路、對企業營運的重要性、漏洞遭到利用的可能性，以及是否已有實際利用的證據。企業也可參考美國網路安全暨基礎設施安全局（CISA）的已知遭利用漏洞清單（KEV）及漏洞利用機率評分系統（EPSS）等資訊。

漏洞修補也須考量不同系統的營運需求，並非所有系統都適合自動更新。例如，雲端原生應用程式可透過自動化部署加快更新，但傳統企業系統及工業控制系統仍須考量相依關係、停機風險及維護時段。對於暫時無法修補的漏洞，企業可先透過限制存取或其他補償性控制措施降低風險，並持續追蹤後續修補情況。若企業利用AI代理協助漏洞驗證及修補，CSA也強調必須限制代理的操作權限，利用漏洞進行驗證測試須事先取得人員核准，並在授權環境中執行；超出預先核准範圍的正式環境部署及對外揭露漏洞，也須經過人工核准。

圖片來源／CSA

為了判斷企業的漏洞處理能力能否跟上新增數量，CSA提出Absorption Rate指標，以過去30天已解決的漏洞處理項目數，除以同期新增的項目數。比率低於1，代表新增項目多於已解決項目，待處理漏洞可能持續累積；高於1則表示企業正在逐步減少待處理項目。CSA也指出，企業若已採取有效的補償性控制措施，即使漏洞尚未完成修補，仍可將相關項目計入Absorption Rate的已解決漏洞處理項目數。不過，企業仍須指定負責人、設定處理期限，並持續追蹤剩餘風險及後續修補情況。企業還應追蹤修補作業的變更失敗率，以及漏洞是否再次出現，避免只看漏洞處理數量，卻忽略修補成效與實際風險。

CSA建議企業先選擇部分正式運作的系統及軟體開發流程試行VulnOps，並由資安、開發及IT維運團隊共同協調漏洞發現、修補與驗證工作。